「見積もりを3社に依頼したら、最安値10万円・最高値480万円と桁が違う回答が返ってきた」──情報システム担当者やCISOからよく聞く悩みです。Webアプリケーション脆弱性診断の費用は、診断手法・対象ページ数・認証の有無・レポートの深さなど複数の変数が絡み合うため、相場が「幅が大きすぎてわからない」と感じるのは当然です。本記事では2026年現在の国内相場を種別・規模別に整理し、費用を決める要因と失敗しない発注のコツを実務目線で解説します。
Webアプリ脆弱性診断の種別と費用相場
脆弱性診断は大きく「ツール診断（自動診断）」と「手動診断」に分かれ、さらに情報提供範囲によって「ブラックボックス」「グレーボックス」「ホワイトボックス」の3方式が存在します。それぞれ費用とカバレッジが異なるため、まず全体像を把握することが重要です。
ツール診断 vs 手動診断
ツール診断はOWASP ZAPやBurp Suite Proなどのスキャナーを用いて自動的に脆弱性を検出します。短時間・低コストで実施できる反面、ビジネスロジック起因の脆弱性や複雑な認証フローには弱点があります。手動診断は熟練したセキュリティエンジニアが実際に操作・分析するため、見落としが少ない一方で工数がかかり費用も高くなります。
項目 | ツール診断（自動） | 手動診断 |
|---|---|---|
費用相場 | 5万〜30万円 | 50万〜300万円 |
診断期間 | 数時間〜2営業日 | 3日〜3週間 |
脆弱性検出精度 | 既知パターン中心、誤検知あり | 高精度、ゼロデイ系にも対応 |
ビジネスロジック診断 | ほぼ不可 | 対応可能 |
レポート品質 | 自動出力（要精査） | エンジニアによる考察付き |
向いているケース | 定期スキャン・予算重視 | リリース前・コンプライアンス対応 |
ブラックボックス・グレーボックス・ホワイトボックスの費用比較
情報提供の度合いによっても費用は変わります。ブラックボックスは外部攻撃者の視点で情報なしに診断するため準備工数が少なくなる場合がある一方、内部構造起因のリスクは発見しにくくなります。ホワイトボックスはソースコードや設計書を提供するため網羅性は最も高くなりますが、レビュー工数が増えます。
方式 | 提供情報 | 費用の目安（中規模アプリ） | 特徴 |
|---|---|---|---|
ブラックボックス | URL・アカウントのみ | 30万〜150万円 | 外部攻撃者視点、網羅性やや低め |
グレーボックス | API仕様・画面遷移図なども提供 | 50万〜200万円 | コストと網羅性のバランスが良い |
ホワイトボックス | ソースコード・設計書すべて提供 | 100万〜400万円 | 最高網羅性、SAST連携も可能 |
規模・ページ数別の費用目安
費用の見積もりでよく使われる単位は「画面数（ページ数）」または「機能数（APIエンドポイント数）」です。以下は手動診断（グレーボックス）を基準にした国内ベンダーの一般的な相場です。
規模 | 画面数の目安 | 費用目安 | 期間目安 | 典型例 |
|---|---|---|---|---|
小規模 | 〜50ページ | 30万〜80万円 | 3〜5営業日 | コーポレートサイト、LP、小規模EC |
中規模 | 50〜200ページ | 80万〜200万円 | 1〜2週間 | 会員制サービス、社内システム、中規模EC |
大規模 | 200ページ以上 | 200万〜500万円以上 | 2〜4週間以上 | 金融・医療系基幹システム、大規模SaaS |
API専門診断 | 〜100エンドポイント | 20万〜100万円 | 2〜7営業日 | REST/GraphQL API、モバイルバックエンド |
診断費用を左右する5つの要因
1. 対象範囲の明確さ
「全機能を診断してほしい」という依頼は、ベンダー側の解釈次第で工数が2〜3倍変わります。ログイン前の公開画面のみか、管理者画面も含むか、外部連携APIも対象かを事前に整理した上でRFPを作成すると、見積もりのブレを大幅に減らせます。
2. 認証・セッション管理の複雑さ
ゲスト・一般ユーザー・管理者など複数ロールが存在するシステムでは、各権限でのテストが必要なため工数が増加します。シングルサインオン（SSO）や多要素認証（MFA）が絡む場合はさらに準備コストがかさみ、費用が20〜40%増になるケースも珍しくありません。
3. テスト手法と深度
OWASP Top 10への準拠確認のみであれば標準的な費用で対応可能ですが、CVSS 3.1に基づく詳細リスク評価やエクスプロイト実証（PoC）まで要求する場合は追加費用が発生します。金融や医療など規制産業向けには、PCI DSS・FISC・ISMS要件への対応マッピングを求めるケースもあり、その分レポート作成工数が増加します。
4. レポートの品質と言語
自動スキャン結果をそのまま出力する「生成レポート」から、エンジニアが修正優先度・再現手順・推奨対策を日本語で丁寧に記述した「精査済みレポート」まで、品質の幅は広いです。
5. 再診断（修正確認診断）の有無
初回診断で発見された脆弱性を修正した後、対策が有効かを確認する「再診断」を初期費用に含むかどうかで、トータルコストが変わります。再診断込みのパッケージは初回費用が10〜20%高めになる一方、別途発注すると20万〜50万円が追加になる場合があります。
脆弱性診断・ペネトレーションテスト・BASの費用比較
Webアプリのセキュリティ評価には「脆弱性診断」以外にも「ペネトレーションテスト（侵入テスト）」や「BAS（Breach and Attack Simulation）」という手法があります。
項目 | 脆弱性診断 | ペネトレーションテスト | BAS |
|---|---|---|---|
主な目的 | 脆弱性の洗い出し・一覧化 | 実際の侵入経路・影響範囲の実証 | 防御制御の継続的な有効性検証 |
費用相場 | 5万〜500万円 | 100万〜1,000万円以上 | 年間50万〜300万円（SaaS型） |
実施頻度 | 年1〜2回が多い | 年1回または重要イベント前 | 常時・自動実行 |
技術的深度 | 中程度 | 高（エクスプロイト実証含む） | 制御検証に特化 |
主な利用シーン | リリース前・定期点検・コンプライアンス | 基幹システム・経営層への説明責任 | SOC強化・セキュリティ成熟度向上 |
ペネトレーションテストの費用についてはペネトレーションテスト費用・相場ガイド【2026年版】で詳しく解説しています。また、BASの導入コストや選定ポイントについてはBAS（侵害・攻撃シミュレーション）導入費用ガイドをあわせてご参照ください。
費用だけで選ぶと失敗する理由と選び方のコツ
失敗例1：「安い＝自動スキャンのみ」に気づかなかった
10万円以下の診断サービスの多くはツール診断に限定されており、ビジネスロジック脆弱性（不正な金額入力・越権アクセスなど）は検出されません。コンプライアンス要件によっては「手動診断による確認」が必須とされているため、要件を満たさない診断書を提出して差し戻されるケースが実際に起きています。
選び方の5つのコツ
- 診断範囲をスコープシートで明文化する：対象URL・対象ロール・除外範囲を文書化してから相見積もりを取る。
- サンプルレポートを必ず確認する：脆弱性の説明・再現手順・CVSS評価・修正推奨の品質はベンダーによって大きく異なる。
- エンジニアの資格・実績を確認する：OSCP・CEH・情報処理安全確保支援士など資格の有無と、同業種での診断実績を問い合わせる。
- 再診断ポリシーを確認する：修正後の再確認が料金に含まれるか、追加費用はいくらかを明示させる。
- 報告会・質疑応答の有無を確認する：レポート納品のみで終わるベンダーよりも、修正優先度について担当エンジニアと直接議論できるベンダーのほうが実務上の価値は高い。
AEVUSのWebアプリ脆弱性診断サービスでは、グレーボックス・手動診断を基本としながら、CVSS 3.1準拠の日本語精査レポートと修正相談を標準提供しています。詳細はWebアプリ脆弱性診断サービスページをご覧ください。
日本の制度が脆弱性診断を“実質必須”にする3つの要件
「なぜ費用をかけてまでWebアプリの脆弱性診断が必要なのか」——この問いに対する日本固有の答えが、以下の制度要件です。相場を知る前に、自社がどの要件に該当するかを確認しておくと、診断の優先度と範囲を判断しやすくなります。
制度・ルール | 主な対象 | 求められる対応 |
|---|---|---|
クレジット取引セキュリティ対策協議会「実行計画」 | ECサイト等のカード決済加盟店 | Webアプリの脆弱性対策（脆弱性診断・WAF等）による非保持化・改ざん対策 |
改正割賦販売法 | カード情報を取り扱う加盟店・決済代行 | カード情報保護のための「必要かつ適切な措置」（実務上はセキュリティ診断が該当） |
改正個人情報保護法 | 個人データを扱う全事業者 | 漏えい時の報告義務。裏返せば漏えいを防ぐ予防措置（診断）の重要性が上昇 |
PCI DSS（要件6.2 / 11.3） | カード会員データを扱う事業者 | 公開Webアプリの脆弱性診断・ペネトレーションテストの定期実施 |
これらは「やっておくと安心」ではなく、該当事業者にとっては取引継続の前提条件になりつつあります。とくにカード決済を扱う事業者は、脆弱性診断の実施実績が加盟審査や更新時に問われるケースが増えています。費用を「コスト」ではなく「取引を続けるための必要投資」と捉えると、適正な予算配分の判断がしやすくなります。
カード決済事業者に求められるセキュリティ要件の全体像は、クレジットカード決済で必須のセキュリティ・チェックリスト解説で整理しています。
相見積もりで妥当性を見抜く——同じ「手動診断100万円」の中身を比較する
複数ベンダーから見積もりを取ると、同じ「手動診断100万円」でも中身がまったく違うことに気づきます。費用の妥当性は総額ではなく“単価あたりに何が含まれるか”で決まります。発注前に次の5項目をそろえて比較すると、不当に高い見積もりも、安さの裏で範囲が削られた見積もりも見抜けます。
- 診断項目の基準：OWASP Top 10だけか、ASVS等のより網羅的な基準に準拠しているか。「何を見るか」の定義を必ず確認します。
- 手動とツールの比率：ツールスキャン主体か、有資格者による手動検査が中心か。認証後の業務ロジックの欠陥はツールでは見つかりにくく、単価差の主因になります。
- 診断対象の数え方：「1URLいくら」か「1機能・1リクエストいくら」か。認証後画面・管理画面・APIを含むかで金額は大きく変わります。
- 報告書と再現手順：検出脆弱性に再現手順・想定影響・修正案が付くか。開発チームがそのまま直せる報告書かどうかが実効性を左右します。
- 再診断（修正確認）の有無：修正後の再診断が料金に含まれるか、別料金か。含まれない場合、総額は見かけより高くなります。
安すぎ・高すぎのサイン
安すぎる見積もりの典型は、ツール自動スキャンのみで手動検査が実質ゼロ、対象が公開トップ画面だけに限定されているケースです。一方高すぎる見積もりは、必要以上に広いスコープや、成果物に見合わない“ブランド料”が含まれていることがあります。同じ土俵で比較するために、発注側からスコープ（対象URL・機能一覧・認証の有無・API有無）を先に定義して各社に提示するのが、見積もりのばらつきを抑える最も効果的な方法です。
よくある質問（FAQ）
Q1. 年1回の脆弱性診断で十分ですか？
A. アプリケーションの更新頻度と重要度によって異なります。機能追加・大規模改修のたびに新たな脆弱性が生じる可能性があるため、CI/CDパイプラインへのSAST組み込みや半年ごとの定期診断が推奨されます。個人情報や決済情報を扱うシステムでは、PCI DSS・個人情報保護法ガイドラインの観点から年1回以上の診断が実質的に必要となるケースが増えています。
Q2. 無料のOSSスキャナーと商用サービスの違いは何ですか？
A. OWASP ZAPなどのOSSスキャナーは導入コストゼロで手軽に始められますが、誤検知の精査・チューニングに相応のスキルが必要です。商用診断サービスでは熟練エンジニアによる精査・再現確認・日本語レポートが含まれるため、社内セキュリティ専門人材が不足している企業にとっては商用サービスのほうが総コストを抑えられる場合があります。
Q3. 診断中にサービスが止まったり、本番環境に影響が出たりしますか？
A. 適切な診断ベンダーは本番への影響を最小化するアプローチを取ります。ただし、負荷テスト相当のスキャンや一部の破壊的テストはステージング環境で実施するのが一般的です。契約前に「本番環境での診断可否」「禁止アクションのスコープ外明示」を明確にすることを推奨します。
Q4. 診断費用は損金算入（経費計上）できますか？
A. 一般的に、セキュリティ診断サービスの費用は「情報システムの維持管理費」として損金算入が可能とされています。ただし、税務上の取り扱いは企業の状況によって異なるため、具体的な処理方法については顧問税理士・公認会計士にご確認ください。
Q5. 診断結果はどのくらいの期間で納品されますか？
A. ツール診断であれば診断完了から3〜5営業日、手動診断であれば診断期間終了後1〜2週間が一般的な納品目安です。リリーススケジュールに合わせるためにも、診断開始の4〜8週間前には発注を完了させることを推奨します。
診断範囲と費用の関係
Webアプリ脆弱性診断の費用は、診断対象の範囲・複雑さ・手法によって大きく変動します。見積もりの根拠を理解することで、過不足のない予算計画を立てることができます。
費用に影響する主要な要素
要素 | 内容 | 費用への影響 | 目安追加コスト |
|---|---|---|---|
ページ数 | 診断対象となる画面・URLの総数 | 診断工数に直結。10ページ増えるごとに工数が増加 | +5〜10万円／10ページ |
機能数・フォーム数 | 入力フォーム、検索、アップロード、決済など操作可能な機能 | インジェクション系・XSSの検証対象が増加 | +3〜8万円／10機能 |
認証の有無 | ログイン後の認証済み領域が診断範囲に含まれるか | テストアカウント準備・セッション管理が必要になる | +15〜30万円（認証あり） |
API診断の有無 | REST／GraphQL APIを個別に診断するか | エンドポイント単位で工数が積み上がる | +3〜7万円／10エンドポイント |
診断手法 | 自動スキャンのみ／手動診断併用／ペネトレーションテスト | 手動・ペネトレは専門家工数が大幅増 | 手動：自動の2〜5倍 |
規模別・構成別の費用目安
想定構成 | 詳細 | 診断手法 | 費用目安 |
|---|---|---|---|
小規模・公開領域のみ | 画面5ページ、フォーム3件、認証なし、API診断なし | 自動スキャン＋部分手動 | 20〜40万円程度 |
中規模・認証あり標準構成 | 画面10ページ、API20本、認証あり（一般ユーザー権限） | 手動診断中心 | 60〜100万円程度 |
中規模・多権限 | 画面15ページ、API30本、管理者・一般の2権限、認証あり | 手動診断＋OWASP準拠 | 120〜180万円程度 |
大規模SaaS・ペネトレ含む | 画面30ページ以上、API50本超、複数権限、外部連携あり | ペネトレーションテスト | 200〜500万円程度 |
EC・決済機能あり | 画面20ページ、カート・決済・マイページを含む、認証あり | 手動診断＋PCI DSS観点追加 | 150〜250万円程度 |
Webアプリ脆弱性診断 発注前チェックリスト
フェーズ1：要件定義・目的の確認
- 診断の目的を明確化する：法令対応なのか、リリース前の品質保証なのか、取引先への提出用なのかによって、必要な診断レベルと報告書の形式が変わる
- コンプライアンス要件を洗い出す：金融系・医療系・EC系など業種特有のセキュリティ基準（FISC、ISMS、PCI DSS等）が適用されるか確認する
- 報告書の提出先を確認する：社内利用のみか、監査機関・取引先・認証機関への提出を想定するかによって記載レベルを指定する
フェーズ2：スコープ確定
- 診断対象URLの一覧を作成する：ページ一覧・サイトマップ・Swagger等のAPI定義書を用意し、対象範囲を文書化する
- 対象外にする領域を明示する：外部サービス連携部分（決済ゲートウェイ、CDN等）、サードパーティ提供のモジュールは診断対象外とするかどうかを決める
- 認証要件を整理する：診断に必要なテストアカウントの権限レベル（一般ユーザー・管理者・閲覧専用など）を洗い出す
- 本番環境／ステージング環境の選択：本番データへの影響を避けるため、ステージング環境での診断が原則。本番診断が必要な場合は、バックアップ・ロールバック手順を確認する
フェーズ3：ベンダー選定
- 資格・実績を確認する：CREST認定・情報処理安全確保支援士（登録セキスペ）在籍の有無、同業種での診断実績の有無を確認する
- 診断手法とOWASP準拠の確認：OWASPトップ10、OWASP Testing Guide（OTG）への準拠可否を確認する
- 報告書サンプルを取り寄せる：実際の報告書形式・記載レベル・日本語対応の可否を事前に確認する
- 再診断（リテスト）の費用と条件を確認する：修正後の再診断が費用に含まれるか、別途発生するかを確認する
- 複数社への相見積もりを実施する：最低2〜3社から見積もりを取り、費用・スコープ・手法を比較する
フェーズ4：診断前の準備
- テストアカウントを発行する：必要な権限レベルのアカウントを複数用意し、診断ベンダーへ事前に提供する
- WAF・IDS等のセキュリティ製品の設定を確認する：診断元IPからのアクセスをブロックしないよう、ホワイトリスト設定が必要かどうかを確認する
- 社内周知を実施する：運用担当者・監視担当者に診断期間を通知し、アラートの誤検知による対応混乱を防ぐ
フェーズ5：診断結果の活用
- 速報ミーティングを設定する：クリティカル・高リスクの脆弱性については、報告書納品を待たずに速報を受け取る体制を作る
- 修正対応チケットを発行する：脆弱性ごとにJira・GitHub Issues等のチケットを発行し、担当者・対応期限を明示する
- 診断結果を次期開発に反映する：繰り返し発見される脆弱性のパターンを開発標準・コーディングガイドラインに反映し、再発防止につなげる
脆弱性診断結果の読み方と対応優先順位の付け方
脆弱性診断報告書を受け取った後、どの脆弱性をいつまでに対応すべきかを判断することが実務の核心です。CVSS（Common Vulnerability Scoring System）は脆弱性の深刻度を0〜10のスコアで表す国際標準指標です。スコアは基本値（脆弱性そのものの性質）・現状値（現在の脅威状況を加味）・環境値（自社環境に基づいてカスタマイズ）の3つのメトリクスグループから算出されます。
リスクレベル | CVSSスコア範囲 | 代表的な脆弱性例 | 推奨対応期限 | 対応方針 |
|---|---|---|---|---|
クリティカル | 9.0〜10.0 | SQLインジェクション（認証不要）、リモートコード実行、認証バイパス | 即時〜72時間以内 | 報告書受領直後に経営層・CISO報告。緊急パッチ適用または当該機能の一時停止を検討 |
高（High） | 7.0〜8.9 | 格納型XSS、認証後のSQLi、パスワードの平文保存、セッション固定 | 7〜14日以内 | 開発チームに即時エスカレーション。修正優先度を最高に設定し、スプリント割込みで対応 |
中（Medium） | 4.0〜6.9 | 反射型XSS、CSRFトークン不備、情報漏えい（エラーメッセージ等）、不適切なHTTPヘッダー設定 | 30〜90日以内 | 通常の開発サイクルで対応計画を策定。次回スプリントまたは次回リリースでの修正を計画する |
低（Low） | 0.1〜3.9 | 不要なHTTPメソッド（TRACEなど）、バナー情報開示、セキュリティヘッダーの一部不備 | 3〜6か月以内 | 中長期の改善計画に組み込む。脆弱性管理台帳に記録し、次回診断までの対応完了を目標にする |
開発チームへの説明方法
脆弱性診断の結果を開発チームへ伝達する際は、以下のフレームワークで説明すると優先度の合意が取りやすくなります。①What（何が問題か）：具体的な場所と問題を明示する。②Impact（何が起きるか）：最悪のシナリオを具体的に説明する。③Likelihood（どの程度現実的か）：現実的なリスクと攻撃難易度を説明する。④Fix（どう直すか）：自社の技術スタックに合わせた修正方法を提示する。⑤Deadline（いつまでに対応するか）：リスクレベルに応じた対応期限と暫定対策を合わせて提示する。「責任追及」ではなく「リスクの共有と改善」の場として結果共有を設定することが、継続的なセキュリティ改善文化の醸成につながります。
まとめ
- ツール診断は5万〜30万円、手動診断は50万〜300万円が国内相場の目安
- 小規模アプリ（〜50ページ）は30万〜80万円、中規模（50〜200ページ）は80万〜200万円、大規模は200万円〜
- 費用を左右するのは「対象範囲」「認証の複雑さ」「テスト手法」「レポート品質」「再診断の有無」の5要因
- 最安値ベンダーの選定はリスクを伴う。スコープの明文化・サンプルレポート確認・エンジニア実績の確認が失敗を防ぐ鍵
